โปรโตคอล WebSocket ใหม่มีความแตกต่างอย่างไร

Eiji Kitamura

ข้อกำหนดโปรโตคอล WebSocket เพิ่งได้รับการอัปเดตเพื่อแก้ปัญหาข้อกังวลด้านความปลอดภัยก่อนหน้านี้และมีความเสถียรเป็นส่วนใหญ่ ด้านล่างนี้เป็นสรุปการเปลี่ยนแปลงที่เกี่ยวข้อง พร้อมกับหมายเหตุเกี่ยวกับการใช้งานในปัจจุบัน

มีการเปลี่ยนแปลงอะไรบ้างตั้งแต่ WebSocket HyBi 00

  • มีการเปลี่ยนแปลงรูปแบบเฟรมโปรโตคอล HyBi 00 ใช้ "0x00" สำหรับหัวและ "0xff" สำหรับหางแต่ละเฟรม ตอนนี้ HyBi 10 ใช้รูปแบบใหม่ดังตัวอย่างต่อไปนี้
      0                   1                   2                   3
      0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
     +-+-+-+-+-------+-+-------------+-------------------------------+
     |F|R|R|R| opcode|M| Payload len |    Extended payload length    |
     |I|S|S|S|  (4)  |A|     (7)     |             (16/63)           |
     |N|V|V|V|       |S|             |   (if payload len==126/127)   |
     | |1|2|3|       |K|             |                               |
     +-+-+-+-+-------+-+-------------+ - - - - - - - - - - - - - - - +
     |     Extended payload length continued, if payload len == 127  |
     + - - - - - - - - - - - - - - - +-------------------------------+
     |                               |Masking-key, if MASK set to 1  |
     +-------------------------------+-------------------------------+
     | Masking-key (continued)       |          Payload Data         |
     +-------------------------------- - - - - - - - - - - - - - - - +
     :                     Payload Data continued ...                :
     + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
     |                     Payload Data continued ...                |
     +---------------------------------------------------------------+

แก้ไขปัญหาด้านความปลอดภัยแล้ว

  • เพิ่ม Sec-WebSocket-Key และ Sec-WebSocket-Accept แทนคีย์ 3 คีย์ของ HyBi 00 เบราว์เซอร์จะส่งตัวเลขแบบสุ่มให้ Sec-WebSocket-Key จากนั้นเซิร์ฟเวอร์จะใช้เซิร์ฟเวอร์ดังกล่าวกับ GUID เฉพาะของโปรโตคอล WebSocket (258EAFA5-E914-47DA-95CA-C5AB0DC85B11) และ SHA1 / BASE64 เป็นต้น เพื่อแสดงผล Sec-WebSocket-Accept เพื่อให้เบราว์เซอร์ยืนยันได้ว่าเข้าใจ WebSocket ซึ่งเป็นการป้องกันการโจมตีแบบข้ามโปรโตคอล
  • ตอนนี้คุณต้องมีการมาสก์เฟรมในแต่ละเฟรม วิธีนี้จะป้องกันการทำให้แคชถูกทำลายบนพร็อกซี ระบบจะเพิ่ม Sec-WebSocket-Origin เพื่อป้องกันการเข้าถึงจากสคริปต์ที่ผู้ให้บริการไม่รู้จัก
  • เพิ่ม Sec-WebSocket-Origin แทนคีย์ต้นทางของ HyBi 00 เพื่อป้องกันไม่ให้เข้าถึงสคริปต์ที่ผู้ให้บริการไม่รู้จัก โปรดทราบว่านี่จะเป็นเพียง "Origin" ใน HyBi 11

การเปลี่ยนแปลง JS API

  • subprotocol สามารถเป็นอาร์เรย์ได้แล้ว ทำให้สามารถใช้ลายเซ็นเมธอดของ new WebSocket(String url, Array subprotocol)
  • แอตทริบิวต์ .protocol [สตริง]
  • แอตทริบิวต์ .binaryType [Blob|ArrayBuffer]
  • .extension [สตริง]
  • เพิ่มรหัสสถานะและเหตุผล (สาเหตุที่การเชื่อมต่อถูกปิด) ไปยัง CloseEvent แล้ว นอกจากนี้ยังมีการเปลี่ยนแปลงฟังก์ชัน close() ให้ยอมรับอาร์กิวเมนต์ทั้งสองตามนี้ด้วย

ส่วนขยาย

  • เพิ่ม Sec-WebSocket-Extensions แล้ว ส่วนขยายที่เสนอมีดังนี้
  • deflate-frame ทำให้เฟรมบีบอัดที่ต้นทางและแยกที่ปลายทาง
  • x-google-mux เพื่อรองรับการมัลติเพล็กซ์แต่ยังอยู่ในระยะเริ่มต้น

HyBi 00 และ HyBi 10 สำหรับการใช้งานทั้งในเซิร์ฟเวอร์และเบราว์เซอร์มีความเข้ากันได้หรือไม่

  • การใช้งานเซิร์ฟเวอร์รองรับทั้ง HyBi 00 และ HyBi 10 ได้โดยดูที่ส่วนหัว HTTP แฮนด์เชค อย่างไรก็ตาม ไม่แนะนําให้รองรับ HyBi 00 เนื่องจากเป็นที่ทราบกันว่ามีความเสี่ยง
  • WebSocket JavaScript API ส่วนใหญ่จะคล้ายๆ กันระหว่างเวอร์ชันเก่าและเวอร์ชันใหม่ แต่อย่างที่ระบุไว้ข้างต้น เราไม่แนะนำให้สนับสนุน HyBi 00 เนื่องจากเป็นที่ทราบกันว่ามีความเสี่ยง

เบราว์เซอร์ใดรองรับ HyBi 10

  • Chrome 14 รองรับโปรโตคอล HyBi 10 แม้ว่าการเปลี่ยนแปลง WebSocket JavaScript API ที่กล่าวถึงข้างต้นจะอยู่ระหว่างดำเนินการ นอกจากนี้ Firefox 7 มีแผนที่จะรองรับ HyBi 10 ด้วย